「パーソナルデータの利活用に関する制度改正大綱」に対する意見

政府の「パーソナルデータの利活用に関する制度改正大綱」に対する意見募集について
　http://search.e-gov.go.jp/servlet/Public?CLASSNAME=PCMMSTDETAIL&id=060140625&Mode=0
（2014年06月25日から2014年07月24日まで実施）
に対して以下のとおり意見を提出しました。

■意見１■

該当箇所：大綱全体

意見：
　個人情報の保護とプライバシーの保護の関係について、より具体的に整理するべきである。また、個人の権利利益の保護が、個人情報及びプライバシーの保護と同等であるものと推察するが、それについて暗黙とせずに明記すべきである。

理由：
　個人情報の保護とプライバシーの保護の関係についての整理がないままに、「個人情報及びプライバシーの保護」と「プライバシー保護」という表現を共存させることは、読み手によって意図しない解釈の差を生じさせることが懸念される。
　文体としては、前者を国内とし、後者を海外として区別して用いているが、その場合に、それらを同等と整理しているのか、それとも、言葉のとおり前者が２つの観点で、後者はそのうちの１つの観点だけのことという整理なのかが不明確である。
　後者のプライバシー保護については、海外がわが国に期待するプライバシー保護水準との整合を図ることを目的としているものである。しかし、両者の違いが不明確であると、日本が整えたプライバシー保護水準について、海外からすれば水準より以前に保護範囲が異なるという解釈をされてしまうことがあり得ることになる。
　また、前者の表現（個人情報及びプライバシーの保護）においては、個人情報は、法として定義した情報であるのに対して、プライバシーが何を示すのかは不明瞭である。個人情報は情報であるのに対して、プライバシーには情報という接尾辞を付けていない（プライバシー情報やプライバシーに係る情報とはなっていない）ことから、このプライバシーが何を保護することを意図しているかが不明瞭である。

　また、個人の権利利益の保護が、個人情報及びプライバシーの保護と同等であるものと推察するが、そうであれば、本来は、個人情報及びプライバシーの保護という表現は無用又は最小限にとどめ、個人の権利利益の保護とすればよいと考える。

■意見２■

該当箇所：６ページ、２課題／（１）「利活用の壁」を取り払うために

意見：
　「①グレーゾーンへの対応」にある２種類のグレーゾーンに「個人の権利利益が侵害されるおそれに何が該当するかの曖昧さ」を加え、そのグレーゾーンの解消も課題として認識すべきである。それによって、「②個人の権利利益の侵害を未然に防止するために」において保護すべき対象を明確にすべきである。

理由：
　「②個人の権利利益の侵害を未然に防止するために」において、「個人の権利利益の侵害に結びつくような事業者の行為を未然に防止していくことが必要である」とあり賛同するが、どのような行為を「個人の権利利益の侵害に結びつく」ものとするのかが具体的ではない。このことから、どのような事業であれば、個人の権利利益の侵害にはあたらないのかが曖昧なことも、利活用の壁となっている。
　そのような壁を取り払うためには、「①グレーゾーンへの対応」において「個人の権利利益が侵害されるおそれに何が該当するかの曖昧さ」についても解消していく必要がある。

■意見３■

該当箇所：６ページ、２課題／（１）「利活用の壁」を取り払うために

意見：
　①及び②の他に、「個人の権利利益を侵害する実質的なリスクの判断の追加」を加えるべきである。それを実現するために、個人情報の外形的な事前定義への該当性判断だけによる運用を改め、利用目的の必然性や妥当性などにも着目することで、事業者と第三者機関の規律に基づく、個人の権利利益を侵害するリスクの低減を推進し、どのようなリスクをどの程度低減するかについての判断において、マルチステークホルダープロセスを導入して、保護と利活用の両立を図るべきである。

理由：
　現行法の運用では、個人情報の外形的な事前定義への該当性判断をしており、個人情報の利用について実質的な侵害のリスク判断を併用していないが、このことが利活用の壁の１つとなっている。
　それと関連して、利用目的は通知だけすればよく、利用目的の内容についての必然性や妥当性、すなわち、利用目的が個人の権利利益を侵害していないかを検証することについての意識が低くなっている。
　個人情報保護法は、法第１条にその目的を「個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする」と定めている。したがって、個人情報の利活用について既に配慮されたものである。しかし、現行の個人情報保護法が、利活用に配慮されていないという印象を与える原因は、法の条文だけではなく運用にあると考える。個人の権利利益を保護することとは、個人の権利利益を侵害しないことである。そのために、現在の個人情報保護法は、侵害するリスクのある個人情報取扱いの行為を想定し、その行為の主体及び客体並びに行為の内容についての義務を規定したものである。その結果、行為の主体として、「個人情報取扱事業者」を定め、客体として、「個人情報」、「個人データ」、「保有個人データ」を定め、定めた客体のそれぞれに対する行為の義務を規定している。

　そして、革新的なビジネスモデルやサービスなどの新しいアイデアによるビジネスが法に違反しないかの判定は、それらのビジネスを実現するための行為で取り扱う情報が、事前に規定された定義に該当するかどうかだけを解釈して判断される。このとき、その情報が定義に該当していると判断されると、その利用目的や利用形態が、個人の権利利益を侵害するかを個別に判断されることはない。そのため、実質的な侵害リスクがないと考えられるビジネスが規制されてしまう。このことが、利活用に配慮されていないという印象を与える原因のひとつである。
　もちろん、該当性の判断基準だけで侵害リスクの有無が決まる場合には、そのような運用は効率的である。しかし、革新的なビジネスモデルやサービスとそれに伴う新しい技術が起こる近年においては、個別のユースケースや技術を分けずに汎用的な該当性基準を合理的に定めることは困難である。
　そのような状況の中で、該当性基準を無理に定めてしまい、その該当性だけで違法性を判断することは、ビジネスや技術の革新的なアイデアの実行を委縮させることになる。

　利活用の委縮を改善するためには、個人情報を利活用する行為が、個人の権利利益を侵害するリスクについて実質的に判断され、その侵害リスクが低ければ、その利活用を必ずしも違法と判断されないという運用が必要である。
　したがって、事前に定めた情報の定義への該当性についての判断だけではなく、行為による侵害リスクの影響についての実質的な判断も併用するという運用を採用するべきである。

　本大綱では個人情報に該当する範囲の解釈を従来より広げることが検討されているが、その範囲に該当すれば規制され、該当しなければ保護されないという運用が前提となってしまえば、事業者は情報の範囲を狭くして利活用を促進したいと考え、消費者など個人からすれば当該情報の範囲を広くして保護が漏れないようにしたいと考える。
　しかし、事業者は個人の権利利益を明らかに侵害するようなビジネスを想定してはおらず、個人もまた利活用がまったくなされない社会を求めているわけではない。
　両者は共に、個人の権利利益の侵害なく利活用がなされることを望んでいるにも関わらず、保護対象の情報の定義だけを議論するのでは、両者は対峙する関係になってしまいかねない。
　実際に、パーソナルデータ検討会の議論でも、保護推進の立場からは保護対象の範囲を拡大することを求め、他方の利活用推進の立場は狭めようとする意見もあった。しかし、そのような保護対象の範囲の定義にだけ着目した議論では、両者の折り合いが付かない。個人の権利利益の侵害を最終的に抑止するという議論であれば、いったん、保護の対象となりえる情報の範囲を拡大することについて、利活用の立場からも受け入れることができるようになる。
　また、「個人が特定される可能性を低減したデータ」（１０ページ、第３／Ⅱ／１）についても同様のことが言える。こちらは逆に、保護推進の立場からは範囲を狭めたく、利活用の立場からは範囲を広げたいわけである。しかし、個人の権利利益侵害リスクが高い取り扱いを規制するのであれば、利活用する範囲を広げても保護の立場から受け入れやすいものと考えられる。
　以上のとおり、保護と利活用は対峙させるべきものではなく、両立させるべきものでる。 

　なお、情報の利用について実質的な権利侵害のリスク判断が事業者において適正に実施されているかを消費者などが評価するためには、事業者は情報の取り扱いについて透明性を高め、それが公平に判定されるための規律を設ける必要がある。
　事業者は透明性を高めるために、情報の取り扱いをプライバシーポリシーなどに定めて公表することが有用である。
　このような運用をするに際して、従来の個人情報保護法の運用では、事業者個別の侵害リスクを主務大臣が判定するという運用は現実的ではない側面があった。しかし、第三者機関の設置を前提とした運用であれば、その判定を第三者機関が担うことは必ずしも非現実的ではない。
　一方、「個人が特定される可能性を低減したデータ」が定義に該当するかを、技術的に判断するためには、高度な技術力が求められる。そのような要員を第三者機関が持つことは容易ではない。仮に、特定性を低減する加工をしても、特定性をまったく否定できないことが技術検討ワーキンググループから報告されている現状から考えれば、どのような加工であっても、結果的に再特定がされ侵害が起これば、その加工方法は不十分であったと判断することができる。そうなれば、第三者機関の要員に求められるのは、ある行為が個人の権利利益を侵害することか否かという、市民感覚に近い判断であり、それを第三者機関が判断するという運用は、合理的である。また、そこにマルチステークホルダーの考え方を入れることもできる。むしろ、情報の定義の該当性の判断に、マルチステークホルダーを入れることよりも有効である。
　以上のことから、事業者は権利侵害リスクについての対処策についての透明性を高め、第三者機関がその適正性を公平に判定できるようにするための法条文への必要な改正に加えて、法の運用方法についても、情報の外形的な事前定義への該当性判断だけでなく、情報の利用が及ぼす影響について実質的な権利侵害のリスク判断を併用するようにするべきである。

■意見４■

該当箇所：１０ページ／Ⅱの１　個人が特定される可能性を低減したデータの取扱い

意見：
　タイトルについて「個人が特定される可能性を低減したデータ」のような表現を少なくとも「特定の個人を識別することを禁止するための適切な取り扱いをするデータ」とするか、むしろ本意見の意見３を踏まえ、「個人の権利利益を侵害するリスクを低減するための適切な取り扱いをするデータ」などのように書き改めるべきである。

理由：
　「個人が特定される可能性を低減したデータ」という表現からは、データそのものが安全になっているという誤解を受けやすい。実際には、それについての適切な取り扱いや、特定されることを禁止する規約などにより安全が確保されることから、あえて、誤解されやすい表現をするべきではない。
　また、個人が特定される可能性の低減だけが、個人の権利利益の侵害を防ぐわけではなく、個人が特定されないままでも、そのような侵害が起きることについても、保護すべきであるという点においても、「個人が特定される可能性を低減したデータ」という表現は不適切である。

■意見５■

該当箇所：１０ページ／Ⅱの１　個人が特定される可能性を低減したデータの取扱い

意見：
　当該データについて「本人の同意を得ずに行うことを可能」とされるが、その利用目的は、個人情報として取得したときの利用目的の範囲内でだけ可能となることを明記するべきである。

理由：
　本文は、第三者提供において本人の同意を要することについて、情報を円滑に利活用するために、その同意を不要とするというものである。
　これは現行法の第２３条第１項の要件の緩和であるが、その提供の結果として利用される目的については、現行法第１５条、第１６条、第１８条の要件を免れるものではないと考えるべきである。
　特に、第１８条で求められている利用目的の通知等が免れるわけではない。このことが明記されていないと、「本人の同意を得ずに行うことを可能」としていることが、あたかも、そのような利用目的を通知等することも必要なく、本人に対してまったく無通知で最終的に利用してもよいかのような誤解を与えることが懸念される。
　このことは、法第２３条第２項の第三者提供を利用目的とするということとは異なり、当該データを第三者提供した上で、それがどのように利用されるかの利用目的の通知等として求められるべきものである。